Link do vídeo: https://www.youtube.com/watch?v=xpGA9lAHhJI
Eu cresci ouvindo a mesma regra: não clique em link estranho e você estará seguro. Ela ainda vale ? A pesquisa publicada pelo Citizen Lab em 15 de outubro de 2026 mostra que ela já não basta. Dessa vez, o ataque não exigia clique. Bastava o anúncio aparecer na tela.
O que foi descoberto
Segundo o relatório, dispositivos de funcionários da Al Jazeera foram alvo de ataques entre 2024 e 2025, com o spyware Candiru entregue por anúncios direcionados. Os pesquisadores chamaram a técnica de AdFection.
O intermediário era a Discover-Tech, empresa israelense que se apresenta como agência de publicidade comum. Segundo o Citizen Lab, a plataforma dela, chamada Controlium, permitia a parceiros de espionagem identificar, reconhecer e infectar aparelhos no momento em que um anúncio era exibido.
Como o ataque escolhe o alvo
O servidor de anúncios não manda código malicioso para qualquer visitante. Ele verifica critérios sobre o aparelho e só responde com o código se a vítima for um alvo escolhido. Para os outros, a resposta é vazia.
É por isso que o ataque é tão difícil de detectar em massa. Os pesquisadores conseguiram rastrear os aparelhos pelos registros de rede: primeiro o contato com a infraestrutura da Discover-Tech, depois um servidor validador do Candiru e, por fim, um servidor de comando e controle.
Os números de alcance precisam ser lidos com cuidado. A MyDSP, parte dessa cadeia, deu lances em cerca de 3,77 bilhões de impressões e ganhou cerca de 442 milhões. O relatório identifica anúncios com o script do atacante em 120.768 sites e 75.373 aplicativos. Ver um anúncio não significa que o aparelho foi comprometido, e o próprio Citizen Lab diz isso.
Quem está na mira
A maioria das pessoas não é alvo de uma operação dessas, que é cara e direcionada. Mas o alvo nem sempre é quem fez algo errado. Basta ser percebido como parte de um grupo. Os mais expostos são jornalistas, ativistas, figuras públicas, empresários e quem lida com informação sensível.
Pegasus e o caso brasileiro
O Pegasus, do grupo israelense NSO, ficou conhecido por espionar jornalistas, políticos, advogados e ativistas em vários países. Ele se instala no celular sem clique e foi vendido a agências governamentais.
No Brasil, em 2021, o Ministério da Justiça abriu a licitação 03/21, de R$ 25,4 milhões, para um sistema de busca e consulta de dados que reportagens associaram ao Pegasus. Segundo o UOL, o vereador carioca Carlos Bolsonaro, filho do então ex-presidente-presidiário, teria interferido no processo para expandir uma estrutura paralela à Abin. Essa é uma acusação feita em reportagens com fontes anônimas. Não houve condenação, e eu não tenho como confirmar os detalhes além do que foi publicado. A NSO chegou a aparecer no pregão e depois desistiu, em maio de 2021. Fontes diferentes dão motivos distintos, e o contrato não foi assinado.
Em 20 de outubro de 2023, a Polícia Federal deflagrou a Operação Última Milha, com autorização do STF, contra agentes da Abin. Foram 25 mandados de busca em cinco estados, duas prisões e o afastamento de outros três servidores. A investigação apurou o uso do FirstMile, sistema da empresa israelense Cognyte que rastreia celulares por meio de antenas de telefonia. O delegado-geral da PF, Andrei Rodrigues, estimou que o grupo espionou cerca de 30 mil pessoas sem autorização judicial. A Abin afirmou ter aberto investigação interna e suspendido os envolvidos.
Minha leitura: esses casos mostram que o problema não é só o criminoso comum com um app pirata. Quando governos compram esse tipo de ferramenta, a fiscalização passa a depender de quem está no poder, e isso é um risco para qualquer democracia. Eu acredito que o debate precisa sair do "quem está sendo espionado" e chegar ao "quem pode comprar espionagem, e com que controle". Essa é a minha opinião, e ela pode ser discutida.
O que dá para fazer
Não existe proteção de 100%, mas dá para reduzir bastante a exposição:
- Mantenha o sistema e os apps atualizados. Muitas falhas exploradas por spyware são corrigidas em atualizações.
- Escolha apps com menos coleta de dados. O WhatsApp criptografa o conteúdo, mas a Meta ainda acessa metadados, como quem fala com quem, por quanto tempo e de onde. O Signal é de código aberto e coleta bem menos informação.
- Em alto risco, considere sistemas mais endurecidos. O GrapheneOS é um Android com mais recursos de segurança. Exige conhecimento técnico e pode não ter todos os serviços do Google.
- Quem lida com informação sensível deve ter apoio especializado. Redação, organização de direitos humanos e equipe de ativismo podem contar com um consultor de segurança digital.
Prompt para seu agente pessoal:
Quero verificar se há sinais de spyware ou acesso indevido nos meus próprios aparelhos. Regras:
- Investigue só os dispositivos da lista abaixo, todos meus. Varra apenas a minha rede local.
- Somente leitura: não instale, apague, altere configurações nem desative serviços sem me perguntar antes.
- Não tente quebrar senhas nem acessar contas, arquivos privados ou aparelhos de outras pessoas.
- No Android, só use ADB se eu já tiver ativado a depuração USB. Se não, me diga o que conferir nas configurações.
- Se precisar de uma senha ou permissão que eu não dei, pare e me pergunte.
Procure sinais comuns: processos que eu não reconheço, conexões de saída suspeitas, acessos remotos ativos, tarefas agendadas e programas de inicialização estranhos.
Dispositivos para investigar (preencha):
- [ ] Este computador
- [ ] Celular: modelo __________ IP (se souber) __________
- [ ] Tablet: modelo __________ IP (se souber) __________
- [ ] Outro: __________
No fim, me entregue um relatório com o que encontrou, a evidência (processo, porta ou arquivo), o risco (baixo, médio ou alto) e as decisões que eu preciso tomar.
E o resto da cadeia?
Depois da pesquisa, o Google removeu a Discover-Tech de suas plataformas de anúncios. Segundo as coberturas da pesquisa, o IAB Europe a suspendeu da lista global de fornecedores, e a Beeswax, da Comcast, também cortou relações com ela. Não consegui verificar essas duas últimas medidas direto nas comunicações das empresas, então trate-as como relatos.
Para você: a segurança do seu celular não depende só de você. Depende de quem vende o anúncio, de quem compra o espaço e de quem fiscaliza os dois. Enquanto isso não mudar, a regra de não clicar em link estranho vai continuar sendo necessária, mas já não é suficiente. Se você lida com informação sensível, não espere a próxima pesquisa para revisar seu aparelho. Revise hoje.
Crom: https://crom.run
Fontes:
- The Hacker News, sobre o relatório do Citizen Lab
- Dark Reading, AdFection
- Neoteo, mecanismo do ataque
- Correio Braziliense, fase de julho de 2024 da operação
- Diário do Poder, pedido no TCU e negativa do ministério
- Agência Pública, "Abin paralela"
Ps: Se um dia eu parar de publicar ou falar sobre o que sempre reintero sobre filosofia tecnologica, soberania pessoal e digital brasileira. Fui jogar no Vasco K k j.